La vérité gênante du web européen est simple. Une grande partie des bandeaux cookies que vous croisez chaque jour ne sont pas conformes. Ils utilisent des couleurs, des formulations et des hiérarchies de boutons pensées pour obtenir un oui rapide. La CNIL qualifie ces procédés d'interfaces trompeuses, ou dark patterns, et sa recommandation de 2020 sur les cookies donne des exemples concrets de ce qui est acceptable. Les sanctions sont bien réelles : fin 2021, la CNIL a infligé 150 millions d'euros d'amende à Google et 60 millions d'euros à Facebook parce que refuser les cookies demandait plus d'efforts que de les accepter. Notre article sur les sanctions CNIL liées aux cookies détaille d'autres cas.
Qu'est-ce qu'un bandeau cookies conforme au RGPD ?
Un bandeau cookies est l'interface affichée à l'arrivée du visiteur pour l'informer des traceurs utilisés par le site et lui permettre de les accepter ou de les refuser. La CNIL le désigne comme le premier niveau d'information : un résumé des finalités, complété par un lien vers la politique de cookies, qui porte le détail (deuxième niveau).
Le consentement recueilli doit être libre, spécifique, éclairé et univoque, au sens des articles 4(11) et 7 du RGPD. Concrètement, l'utilisateur doit pouvoir refuser sans effort supplémentaire, comprendre ce qu'il accepte et changer d'avis facilement. Le bandeau n'est donc pas un simple élément graphique : c'est le mécanisme juridique qui prouve que vous avez obtenu un accord valable avant de déposer le moindre traceur non essentiel.
Les quatre principes à respecter
D'abord, une information claire. L'utilisateur doit savoir quelles catégories de cookies sont utilisées et pourquoi, dans un langage simple, sans jargon inutile. Ensuite, un vrai choix. Le bouton de refus doit être visible et accessible au même niveau que celui d'acceptation, dès le premier écran. Troisièmement, aucune case pré-cochée. Le consentement doit résulter d'un acte positif, jamais d'une inaction ou d'une case déjà activée. Enfin, un retrait facile. Retirer son consentement doit être aussi simple que le donner, par exemple grâce à un lien permanent en pied de page ou à un bouton flottant présent sur toutes les pages.
Pour approfondir, lisez notre guide sur les conditions de validité du consentement RGPD. Il détaille chaque critère et sa portée juridique.
Un détail souvent oublié : ces principes doivent coexister. Un bandeau peut afficher une information parfaite et proposer des catégories granulaires, mais s'il pré-coche une seule case ou cache le bouton de refus, il devient non conforme. La conformité ne se mesure pas à votre meilleur bouton mais au plus faible. C'est pourquoi un audit honnête examine chaque critère séparément, au lieu de s'en remettre à une impression d'ensemble.
Les éléments obligatoires à l'écran
Traduit en composants d'interface, un bandeau conforme comprend :
- un texte d'information qui nomme les grandes catégories de finalités (mesure d'audience, publicité, personnalisation) en langage clair ;
- un bouton Tout accepter ;
- un bouton Tout refuser, aussi visible et accessible que le bouton d'acceptation ;
- un bouton Personnaliser (ou Gérer mes choix) qui ouvre un choix granulaire par catégorie ;
- un lien vers la politique de cookies pour l'information détaillée.
L'absence du bouton Refuser au premier niveau, ou sa relégation dans un sous-menu moins visible, est la non-conformité la plus fréquemment sanctionnée.
Ce que doivent dire les boutons (sans dark pattern)
Le libellé des boutons compte autant que leur design. Utilisez des termes neutres et symétriques : Tout accepter et Tout refuser. Évitez les formulations culpabilisantes du type Non merci, je préfère une expérience dégradée. Évitez aussi de cacher le refus derrière plusieurs clics. Le principe directeur de la CNIL est l'équivalence : refuser doit demander le même nombre de clics et le même effort qu'accepter. Un bandeau qui place le refus à deux ou trois niveaux de profondeur trahit ce principe, même si le mot refuser y figure quelque part. À noter : un lien « Continuer sans accepter » bien visible est une alternative admise par la CNIL, à condition qu'il soit aussi facile à trouver que le bouton d'acceptation.
Bons exemples de bandeaux cookies (avec analyse)
Voici cinq modèles qui respectent l'esprit et la lettre du RGPD. Aucun n'a besoin d'image pour être compris : ce qui compte, c'est la structure et le texte.
Exemple 1 : le bandeau en couches. Une première couche affiche un résumé court (pourquoi des cookies, catégories principales) avec un lien En savoir plus qui ouvre le détail. L'utilisateur n'est pas noyé sous l'information, mais il y accède en un clic. Ce qu'il fait bien : il combine concision et transparence, sans sacrifier l'une à l'autre.
Exemple 2 : des boutons d'égale importance. Tout accepter et Tout refuser ont la même taille, la même couleur et la même position. Aucun n'est mis en avant visuellement. Ce qu'il fait bien : il neutralise le biais visuel et respecte l'équivalence demandée par la CNIL.
Exemple 3 : des catégories granulaires. Un bouton Personnaliser ouvre un panneau avec un interrupteur par catégorie (fonctionnel, mesure d'audience, marketing), tous désactivés par défaut sauf les cookies strictement nécessaires. Le visiteur peut accepter la mesure d'audience et refuser la publicité. Ce qu'il fait bien : il permet un consentement spécifique, catégorie par catégorie, au lieu d'un oui global forcé.
Exemple 4 : un accès permanent aux préférences. Un lien Gérer les cookies ou un petit bouton flottant reste disponible après la fermeture du bandeau. Ce qu'il fait bien : il rend le retrait aussi simple que le choix initial, à tout moment de la visite.
Exemple 5 : une formulation honnête. Le texte n'assimile jamais la navigation à un consentement. Il n'écrit pas En poursuivant, vous acceptez. Il attend une action explicite de l'utilisateur. Ce qu'il fait bien : il préserve le caractère univoque du consentement exigé par le règlement.
Ces cinq modèles ne s'excluent pas. Le meilleur bandeau les combine : une première couche concise et honnête, deux boutons symétriques, un accès en un clic aux catégories et un moyen permanent de revenir sur son choix. Nul besoin d'un design sophistiqué, seulement d'une structure loyale.
Quel format choisir : barre, panneau ou pop-up ?
La CNIL ne prescrit aucune position. Bandeau en haut, barre en bas ou pop-up centrale : tout est possible, tant que le bandeau est clairement visible et que le visiteur est informé avant qu'un traceur optionnel ne se déclenche. Trois formats couvrent l'essentiel des besoins.
Le bandeau minimaliste à deux boutons
Un texte court, un bouton Accepter et un bouton Refuser de taille et de style identiques, plus un lien En savoir plus vers la politique de cookies. C'est le format le plus simple et celui qui crée le moins de friction. Il convient aux sites vitrines et aux blogs qui n'utilisent qu'une ou deux catégories optionnelles.
Le bandeau avec panneau de personnalisation
La même première couche, plus un troisième bouton (Personnaliser ou Gérer mes choix) qui ouvre un panneau listant les catégories avec un interrupteur pour chacune. C'est le bon choix pour les sites qui combinent mesure d'audience, publicité et autres outils, et il favorise le consentement partiel, puisque le visiteur n'est pas enfermé dans un tout ou rien.
La barre en bas de page
Une barre horizontale en bas de l'écran, avec Accepter et Refuser alignés sur la même ligne. Elle est moins intrusive qu'une pop-up centrale tout en restant visible. Sur mobile, vérifiez que le bouton de refus reste entièrement visible sans défilement : c'est souvent là que l'équivalence se perd.
Dans FlowConsent, le Builder propose ces formats sous forme de modèles (minimal, barre en bas, flottant, pleine largeur, pop-up moderne) et conserve les réglages par défaut du RGPD (boutons Accepter et Refuser équivalents, blocage préalable, catégories granulaires) quel que soit le style appliqué. Voir comment personnaliser votre bandeau.
Mauvais exemples de bandeaux cookies (dark patterns à éviter)
Les pratiques suivantes sont régulièrement pointées du doigt par la CNIL. Elles donnent l'illusion d'un choix tout en orientant fortement la décision. Notre article sur les dark patterns interdits par la CNIL les détaille un par un.
Pas de bouton Refuser au premier niveau. Si le visiteur doit cliquer sur Personnaliser puis décocher chaque catégorie pour refuser, le refus n'est pas aussi simple que l'acceptation.
Un bouton de refus moins visible. Mettre Tout accepter en avant et reléguer le refus derrière un petit lien Paramètres, ou l'afficher en simple texte gris, rompt l'équivalence.
La hiérarchie des couleurs. Un bouton d'acceptation vert vif à côté d'un bouton de refus gris, petit ou peu contrasté oriente le choix. C'est un dark pattern classique, même si les deux boutons sont présents.
Les cases pré-cochées. Une case déjà cochée n'est pas un consentement. La Cour de justice de l'Union européenne l'a confirmé dans l'arrêt Planet49 : le silence ou l'inaction ne valent pas accord. Toutes les catégories optionnelles doivent être désactivées par défaut.
Un langage ambigu. Des formules comme J'accepte pour continuer à naviguer mélangent consentement et accès au site. L'utilisateur ne sait plus s'il consent ou s'il confirme simplement son accès.
La poursuite de la navigation vaut consentement. Faire défiler la page ou cliquer sur un lien n'est pas un acte positif clair. Seul un clic explicite sur Accepter (ou sur une catégorie) compte.
Le cookie wall. Conditionner l'accès au contenu à l'acceptation des cookies porte atteinte à la liberté du consentement. Il n'est toléré que dans des cas limités, notamment lorsqu'une alternative équitable est proposée. Voir quand un cookie wall peut être légal.
Des cookies déposés avant le choix. Les scripts de mesure d'audience et de publicité doivent rester bloqués tant que le visiteur n'a pas accepté. Un bandeau impeccable qui laisse Google Analytics se déclencher au chargement de la page n'est pas conforme. Seul un audit de cookies le révèle.
Un retrait plus difficile que le consentement. Si accepter prend un clic mais changer d'avis en demande cinq, le bandeau n'est pas conforme. La symétrie vaut au moment du retrait comme au moment du consentement.
Un test utile pour repérer un dark pattern : demandez-vous si le design aide l'utilisateur à décider, ou s'il vous aide à obtenir une réponse précise. Si tous les signaux visuels et textuels pointent vers le oui, le bandeau oriente au lieu d'informer. Second test, le chronomètre : mesurez le temps nécessaire pour refuser et pour accepter. Si refuser est sensiblement plus long, vous avez un problème de conformité, quels que soient les libellés.
Pourquoi ces pratiques persistent-elles ? Souvent par habitude ou par crainte de perdre des données. Mais un bandeau trompeur expose à un double risque : une sanction de la CNIL, et une perte de confiance des visiteurs, qui repèrent de plus en plus ces manipulations. Mieux vaut un consentement plus rare mais solide qu'un consentement massif mais juridiquement fragile.
Garder un bon taux de consentement sans dark pattern
Conformité et taux de consentement correct ne s'opposent pas. Plusieurs leviers fonctionnent sans manipuler personne.
- Rédigez un texte court et compréhensible. Une phrase sur ce que permettent les cookies (Nous utilisons des cookies pour mesurer l'audience et améliorer le site) vaut mieux qu'un paragraphe juridique intimidant.
- Proposez un choix granulaire. Les visiteurs qui refusent tout le font souvent par méfiance. Quand ils peuvent accepter la mesure d'audience et refuser la publicité, le consentement partiel progresse.
- Soignez le design. Un bandeau aux couleurs et à la typographie du site inspire plus confiance qu'un bandeau générique. Cela ne veut jamais dire rendre le bouton Refuser moins visible.
- Testez les formats. Position, formulation et mise en page influencent le résultat. Mesurez chaque changement plutôt que de deviner.
Notre guide pour mesurer et améliorer votre taux de consentement détaille la méthode et les repères.
Texte du bandeau cookies : que rédiger (modèles)
Les modèles ci-dessous sont à adapter à votre site, à vos finalités réelles et à votre langue. Ne copiez pas un texte qui ne correspond pas aux traceurs que vous déposez réellement. Un bon texte est court, concret et exempt de formules juridiques creuses.
Version courte (à adapter).
Nous utilisons des cookies pour assurer le fonctionnement du site et, avec votre accord, pour mesurer l'audience et personnaliser les contenus. Vous pouvez accepter, refuser ou choisir par catégorie. Vous pourrez modifier votre choix à tout moment via le lien Gérer les cookies en pied de page.
Version complète (à adapter).
Ce site dépose des cookies. Les cookies strictement nécessaires assurent le fonctionnement de base et ne requièrent pas votre consentement. Les autres cookies, de mesure d'audience et de marketing, ne sont déposés qu'avec votre accord. Les cookies de mesure d'audience nous aident à comprendre l'usage du site. Les cookies marketing permettent de vous proposer des contenus adaptés. Vous pouvez tout accepter, tout refuser, ou paramétrer vos choix catégorie par catégorie. Aucune case n'est pré-cochée. Votre choix est conservé et vous pouvez le retirer ou le modifier à tout moment depuis le lien Gérer les cookies, sans que cela dégrade votre accès au contenu.
Quelques règles de rédaction utiles. Nommez les finalités réelles plutôt que des catégories vagues. Indiquez la durée de conservation lorsqu'elle est pertinente. Évitez les négations multiples qui brouillent le sens. Et mentionnez les éventuels transferts de données hors de l'Union européenne lorsque vos outils marketing l'impliquent, car cette information conditionne le caractère éclairé du consentement.
Gardez enfin une cohérence entre le bandeau et la politique de cookies complète. Si le bandeau évoque trois catégories mais que la politique liste dix traceurs aux noms obscurs, le décalage fragilise le caractère éclairé du consentement. Considérez le bandeau comme le résumé court et honnête d'un document plus long, accessible en un clic.
Vérifier ce qui se passe vraiment après le clic
Un bandeau peut sembler irréprochable et pourtant laisser fuir des données. La seule preuve qui compte, c'est ce qui s'exécute quand un visiteur refuse. Après la mise en ligne, ouvrez vos pages en navigation privée, refusez, puis vérifiez dans les onglets Réseau et Stockage du navigateur qu'aucune requête de mesure d'audience ou de publicité ne part. FlowConsent automatise ce contrôle avec un scan en refus : il charge vos pages dans un vrai navigateur, refuse le consentement, liste tout ce qui se déclenche encore et archive le résultat sous forme de rapport de preuve daté. Conservez ces éléments avec vos preuves de consentement.
Liste de contrôle de conformité du bandeau cookies
- L'information est claire, en langage simple, et précise les catégories et les finalités.
- Le bouton Tout refuser est aussi visible et accessible que Tout accepter, dès le premier écran.
- Un bouton Personnaliser donne accès à des catégories distinctes et choisissables (fonctionnel, mesure d'audience, marketing).
- Aucune case n'est pré-cochée, hors cookies strictement nécessaires.
- Le refus demande le même nombre de clics que l'acceptation.
- Le design ne favorise visuellement aucun bouton, sur ordinateur comme sur mobile.
- Aucune formulation n'assimile la navigation à un consentement.
- L'accès au contenu ne dépend pas de l'acceptation des cookies.
- Un lien vers la politique de cookies est présent.
- Aucun cookie non essentiel n'est déposé avant le recueil du consentement.
- Un lien ou un bouton permanent permet de modifier ou de retirer le consentement à tout moment.
- La preuve du consentement est conservée avec un horodatage.
- Le comportement est vérifié par un scan de cookies après la mise en ligne, puis après chaque nouvelle balise.
Conclusion
Un bon bandeau cookies n'est pas une question d'esthétique, mais de respect du choix de l'utilisateur. Une information claire, des boutons symétriques, un panneau de personnalisation, aucune case pré-cochée, aucun traceur avant consentement et un retrait facile couvrent l'essentiel. Un design simple et loyal est aussi celui qui tient le mieux dans la durée, face à la CNIL comme face à vos visiteurs.
Prochaine étape : vérifiez votre propre site. Lancez un scan de cookies gratuit pour voir en quelques minutes quels cookies se déclenchent avant consentement et où votre bandeau n'est pas conforme.